1년 전 유출된 '야놀자펜션' 개인정보 판매글 등장

해외 해킹 포럼·다크웹서 포착

작년 유출된 '야놀자펜션' 회원 개인정보를 판매한다는 게시글이 등장했다.

보안 스타트업 에스투더블유랩에 따르면 해외 해킹 포럼 '레이드 포럼(RAID Forums)'에서 이같은 내용의 게시글이 지난 7일 발견됐다.

게시글 작성자는 지난해 3월 이 데이터들을 유출했다고 주장했다. 야놀자펜션이 회원 개인정보가 유출됐다고 밝힌 시기다.

야놀자펜션 개인정보 판매글(출처=에스투더블유랩)

당시 야놀자는 야놀자트래블 서버에 접근해 회원 7만명의 전화번호, 이메일, 예약자명 등 개인정보가 유출돼 한국인터넷진흥원(KISA)와 방송통신위원회에 신고했다고 밝혔다. 이 중에는 2014년 3월~2014년 10월 간 야놀자펜션 앱 사용자 1만명의 이메일 주소와 전화번호 800건, 2015년 3월~2016년 8월 예약자명과 전화번호 등이 포함됐다.

작성자는 총 100만건의 데이터를 유출했으며, 이 중 90만건에 대해 복호화를 수행했다고 밝혔다. 야놀자가 밝혔던 수치와는 차이가 있다. 이에 대해 에스투더블유랩 관계자는 "야놀자에서 인지하지 못한 데이터 유출이 있었거나, 해커의 과장일 수 있다"고 설명했다.

야놀자 관계자는 "정보 유출 이후, 유출 정보의 악용을 막기 위해 법무법인 광장과 전수 조사를 진행했다"며 "이 과정에서 데이터가 추가로 유출된 사실은 확인되지 않았다"고 답했다.

게시글은 유출된 데이터에 이메일, 생년월일, 성별, 전화번호,SNS 프로필, 패스워드가 포함돼 있다고 설명하고 있다. 판매하는 데이터의 샘플도 첨부됐으며, 이는 MD5 암호화가 적용돼 있었다.

에스투더블유랩은 이번 게시글이 올라오기 전인 지난 3월 다크웹 포럼에서 야놀자 이용자 데이터를 찾는 구매글이 발견됐다고 밝혔다.

다크웹 포럼 내 데이터 구매글(출처=에스투더블유랩)

다크웹에서도 야놀자 개인정보를 거래한다는 게시글이 등장한 바 있다. 지난달 미국지디넷은 해커 '노스틱플레이어(Gnosticplayers)'가 야놀자 회원 개인정보 150만건을 포함한 6천550만명의 개인정보를 다크웹에서 판매하고 있다고 보도했다. 노스틱플레이어는 지난해 다크웹에서 자격 증명 정보 10억건 가량을 판매한 것으로 알려져 있는 해커다. 그간 이 해커가 밝힌 해킹들이 사실로 드러났다는 점을 고려할 때 유출된 정보들이 실제 개인정보일 가능성이 높다고 분석했다.

노스틱플레이어에 대해 미국지디넷은 최근 다크웹에서 국내 쇼핑 앱 '스타일쉐어', 리빙 플랫폼 '집꾸미기'에서 각각 개인정보 600만개, 200만개를 판매한 해킹 그룹 '샤이니헌터스(ShinyHunters)'와 연관성이 있다는 의견이 일각에서 제기되고 있다고 언급한 바 있다.

야놀자펜션 앱 개인정보 유출 사과문(사진=야놀자펜션 앱 캡쳐)

야놀자 관계자는 "정보 유출에 대한 공식 사과 이후 계정 패스워드는 초기화했고, 이용자에게 정보 침해 사실을 자세히 안내했다"며 "야놀자펜션은 지난 2018년 야놀자가 야놀자트래블로부터 인수한 플랫폼으로, 인수 이후 데이터 보안 강화 작업을 진행하던 중 해킹이 발생했다"고 설명했다. 이어 "현재는 KISA로부터 정보보호 및 개인정보보호관리체계 인증(ISMS)를 획득한 상태"라고 덧붙였다.